El director de seguridad de la información de SlowMist, 23pds, emitió una advertencia urgente el 19 de septiembre en la que pidió a los usuarios de iPhone que actualizaran sus dispositivos de inmediato, tras confirmar que los atacantes han operativizado un exploit de iOS de cadena completa capaz de drenar silenciosamente claves privadas y frases semilla mnemotécnicas de las carteras de criptomonedas. La revelación, publicado en X por el investigador, abarca dispositivos con iOS 13 a iOS 26.5 y representa una grave amenaza para los activos en autocustodia almacenados en carteras móviles.
Cómo funciona la cadena de exploits
El ataque comienza cuando la víctima visita una página web maliciosa en Safari, a la que normalmente se llega mediante ingeniería social o un enlace de tipo watering hole. La página explota un fallo de corrupción de memoria en WebKit y JavaScriptCore para obtener acceso arbitrario de lectura y escritura en la capa de JavaScript. A partir de ahí, la cadena elude los códigos de autenticación de punteros para lograr la ejecución de código nativo, escapa del sandbox de WebContent y escala hasta privilegios de root a nivel de kernel — suficientes para leer el llavero del dispositivo y extraer los datos de las aplicaciones de cartera, incluidas las claves privadas y las frases de recuperación. A diferencia de una página de phishing convencional que engaña al usuario para que escriba su frase semilla, esta cadena no requiere ninguna acción más allá de visitar un enlace, y por eso la advertencia es tan urgente.
Quiénes se ven afectados
23pds afirmó que el rango afectado va de iOS 13 a iOS 26.5, aunque señaló que el límite superior aún está pendiente de confirmación definitiva. Dado que el exploit extrae las claves directamente del dispositivo, una cartera comprometida no puede recuperarse mediante un restablecimiento de contraseña — cualquiera que tenga las claves extraídas puede mover los fondos. La amenaza es más aguda para los usuarios de autocustodia, ya que una clave robada a nivel de dispositivo no deja ningún mecanismo de recuperación por parte del exchange. La advertencia se produce en un contexto de crecientes amenazas móviles y de tiendas de aplicaciones contra los titulares minoristas de criptomonedas, incluido un caso reciente en el que Apple fue acusada de mantener una billetera falsa de Bitcoin activa en su App Store después de que se denunciara un robo de 875.000 $.
Qué deben hacer los usuarios
La guía de SlowMist es clara: actualiza iOS a la última versión de inmediato, evita hacer clic en enlaces no solicitados en Safari y, para cualquiera que haya usado un dispositivo vulnerable para gestionar una cartera activa, genera nuevas claves en un dispositivo limpio y actualizado y mueve los fondos. El incidente sigue un patrón de ataques centrados en el móvil y de phishing dirigidos directamente a los usuarios de criptomonedas, una táctica que las firmas de seguridad han señalado en repetidas ocasiones. SlowMist todavía no ha publicado un aviso formal más extenso, por lo que la publicación del investigador sigue siendo la principal divulgación pública al momento de redactar este artículo.
